攻防世界-pwn dice_game（栈内变量覆盖）

最新推荐文章于 2022-12-19 21:34:47 发布
最新推荐文章于 2022-12-19 21:34:47 发布
阅读量595 收藏
点赞数 1
分类专栏： ctf_pwn 文章标签： pwn 栈覆盖
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qinying001/article/details/102460819
版权
该博客主要介绍了如何解决攻防世界中的pwn题目dice_game。通过分析64位无栈保护的动态链接ELF文件，发现程序要求猜数字并连续答对50轮以获取flag。利用IDA进行结构分析，确定可以通过覆盖栈内随机数种子来操纵随机数生成，从而实现连续胜利50轮的目标。作者分享了解题思路和exploit的创作过程。
摘要由CSDN通过智能技术生成

在这里插入图片描述
 

0x01 检查文件

 下载附件之后获得两个文件，一个可执行文件和一个libc，初步理解要使用libc。
在这里插入图片描述

  • 64位elf
  • 无栈保护
  • 动态链接
     

0x02 程序分析

在这里插入图片描述
 根据程序运行分析，程序应该是要求猜数字，连续答对50轮可获得flag。
 

0x03 IDA结构分析

在这里插入图片描述
 从里面分析，可以看到程序的结构，while循环里面是猜数字的流程，一共50轮，并可以注意到18行设置了随机数的种子。
 
 继续分析子函数sub_A20：

最低0.47元/天 解锁文章
影子019
关注
专栏目录
dice_game [XCTF-PWN][高手进阶区]CTF writeup攻防世界题解系列12
重新启程
12-23 1828
题目地址：dice_game 从这篇开始就正式进入高手进阶区，一些简单的知识点我这里就不会再重复赘述了，请有需要的同学看前面的章节。 废话不多，看看题目 题目没什么提示，只是知道这个题目的来源是：XCTF 4th-QCTF-2018 下载附件，看看情况，照例做下保护机制检查 root@mypwn:/ctf/work/python/dice_game# checksec dice_g...
攻防世界-pwn when_did_you_born（栈覆盖）
菜的只能随便写写博客
08-10 1418
0x01 拿到文件之后，先检查文件的基本信息 文件信息 64bit elf可执行文件 无PIE保护   0x02 执行文件 文件之中有两个输入，第一个输入有回显   0x03 IDA静态分析 可以看出获取flag需要用到v5的值，首先需要v5不等于1926，进入else这个块之中，然后又需要v5等于1926才能获取flag，就产生了矛盾。 结合程序有两个输入，可以考...
攻防世界pwn——dice_game
qq_62076255的博客
12-19 494
攻防世界pwn——dice_game做题记录
攻防世界高手进阶区——dice_game
weixin_62675330的博客
02-19 2079
攻防世界高手进阶区——dice_game 题目里面啥都没有。 一.分析文件 checksec 只有栈溢出保护关闭了，其他都是开着的。 运行 可以看出是要猜数字，猜对50次。 ida逆向 __int64 __fastcall main(int a1, char **a2, char **a3) { char buf[55]; // [rsp+0h] [rbp-50h] BYREF char v5; // [rsp+37h] [rbp-19h] ssize_t v6; // [
攻防世界 Pwn dice_game
MrTreebook的博客
12-18 321
攻防世界 Pwn dice_game1.题目下载地址2.checksec3.IDA分析4.exp 1.题目下载地址 点击下载 2.checksec 没有canary，可能是简单的栈溢出 3.IDA分析 在sub_A20()中可以看出v2是一个通过种子生成的 1~6 的 随机数 之前有做过类似的题，只要控制种子即可预测随机数 在read函数处有栈溢出的漏洞 在下面看到需要连续答对50次才可以获取flag 那么我们构造的思路就是利用这个溢出点覆盖seed从而预测随机数 4.exp from pwn im
pwn dice_game
weixin_44319142的博客
05-02 538
dice_game 又是seed from pwn import * from ctypes import * context.log_level='debug' libc = cdll.LoadLibrary("libc.so.6") p = process('./dice_game') #p = remote("111.198.29.45",56813) p.recvuntil(" ...
攻防世界-pwn-dice_game(srand()，rand(),随机数)
hanqdi_的博客
06-27 2106
高手进阶区 dice_game 考察知识点： srand（），rand（）函数，产生随机数。 srand和rand()配合使用产生伪随机数序列。 rand函数在产生随机数前，需要系统提供的生成伪随机数序列的种子，rand根据这个种子的值产生一系列随机数。 如果系统提供的种子没有变化，每次调用rand函数生成的伪随机数序列都是一样的。 比如：通常可以利用系统时间来改变系统的种子值，即srand(time(NULL))，可以为rand函数提供不同的种子值，进而产生不同的随机数序列。 如果srand(1)，因为1
Wi-PWN_8.0_ENGLISH_OLED.bin
08-25
这是ESP8266的带OLED显示的WIFI杀手固件。
Wi-PWN_8.0_ENGLISH.bin
08-25
ESP8266的WIFI杀手固件，这是不带显示的。 我后续更新带OLED显示的固件。教程后将更新。
攻防世界-pwn forgot(栈内变量覆盖)
菜的只能随便写写博客
10-17 787
0x01 文件检查 32位elf 无栈保护 无地址随机化   0x02 程序运行分析  发现有两个输入的地方，并且第一个地方有回显。   0x03 IDA分析  如图，阅读程序结构后，发现第二个输入点(41行)可以进行栈溢出，第88行是调用的栈里面的函数地址，所以，如果将栈里面的*(&v3 + --v14)这个地址的内容变成我们需要的函数地址，就可以了。  搜索字符串，发...
[攻防世界 pwn]——dice_game
Y_peak的博客
02-20 305
[攻防世界 pwn]——dice_game 题目地址: https://adworld.xctf.org.cn/ 题目: 思路 该题和前面的guess_num差不多, 可以点击查看 请点击。这道题是, 利用输入的name将seed覆盖,使得后面产生的随机数不随机。 注意在Linux上面运行, window和Linux上面产生的随机数不一样 exploit from pwn import * from LibcSearcher import * p=remote("111.200.241.244",
攻防世界-dice_game-Writeup
SkYe's Blog
05-13 852
dice_game 题目来源： XCTF 4th-QCTF-2018 考点：栈溢出、混合编程 基本情况 程序实现的是一个具有用户姓名输入的菜随机数程序。 保护措施 Arch: amd64-64-little RELRO: Full RELRO Stack: No canary found NX: NX enabled PIE: PIE enabled 栈溢出 一开始我在纠结是输入数字时使用的是短整型，可不可能是整型溢出，这样既能保持低位数字符合要求，又能控制
功防世界dice_game
weixin_34190136的博客
05-03 276
buf 长度最长为 0x50 但是当输入大于 49 的时候不会被截断，所以我们只要覆盖到之前的 seed 就可以为所欲为了。 同时注意到 seed 跟 buf 相差的偏移是 0x40，所以只要 68 个字符就可以溢出覆盖 seed 了。 Exploit 由于担心 python 的 randint 实现跟 libc 的不太一样，所以我写了个小程序 在vim编译运行.c文件步骤：...
pwn_dice_game
weixin_44464829的博客
10-31 298
常规操作：checksec dice_game 发现文件是64位 放入ida中看c的伪代码： 这是一个猜数字的题，之前有做过类似的题，目的是覆盖seed,使随机数不再随机产生 点开sub_A20()看看随机数怎么构造的： 可以看到rand()%6+1线性同余的方式生成随机数，下一步就是想要覆盖掉种子位置上的值 看一下种子的位置： buf是我们可以写 入数据的缓冲区，通过read函数写入，这又是经典的栈溢出漏洞 0x50-0x10=0x40 因为附件解压后有两个文件，其中一个是l
攻防世界(Pwn)dice_game, 栈溢出覆盖srand种子
半岛铁盒的博客
03-05 1432
说明 这其实是一种类型题,新手刚开始会碰到,题目大致过程是 有个srand()的随机函数.需要覆盖 seed种子 即srand(seed) 把 seed 覆盖为一个固定的数 , srand 就是伪随机函数了, 题目会有个猜数循 环,比如猜对了20次flag就有了,和这道题类似的题目还有新手区的guess_num 解题 点进去read中的 buf; EXp from pwn import * from ctypes import * p=remote('111.200.241.244','38
攻防世界dice_game(pwn)
CTF小白的博客
05-08 4705
dice_game 题目考察：rand()生成的随机数和随机种子seed()有关，通过观察题目，可以发现存在溢出漏洞，通过输入可以覆盖到seed(),实现一个可预测的随机数列。 题目分析 这边就可以看到，buf覆盖0x40位就能覆盖到seed。 sub_A20()如下，就是比较你输入的数是否和产生的随机数相等。 当回答正确50次时，会执行sub_B28这个函数，读取flag。 所以我们要做...
攻防世界 dice_game栈溢出+随机数
fanghuapyk的博客
03-19 219
攻防世界 dice_game栈溢出+随机数 检查保护 发现是64位程序，并且开启了NX保护和地址随机化 上ida 发现flag敏感字符，追踪发现sub_B28函数里面可以直接得到flag 这里解释一下 Fopen函数： FILE *fopen(char *filename, char *mode); filename为文件名（包括文件路径），mode为打开方式，它们都是字符串。 Fget函数： 函数原型 char *fgets(char *str, int n, FILE *stream); 参数：
dice_game攻防世界进阶区
shanwei274的博客
04-10 1777
dice_game XCTF 4th-QCTF-2018 前言，不得不说，虽然是个简单题但是还是要记录一下，来让自己记住这些东西。 考察的知识点是： 1.cdll_loadlibrary加载对应库使得Python可以使用c的函数。 2.关于srand函数中种子的介绍。 3.一些平时没有见过的杂项 保证我写的很详细，因为我也是个菜鸡 ----第一步查看保护喽 第一眼就很恐怖嗷，居然就只有canary没有开，其他的全开，got表也不能修改，我就很痛苦嗷 ----第二步ida看看 main函数这里要说的呢 1
xctf 攻防世界-dicegame writeup
qq_43189757的博客
07-07 422
比较容易发现可以对buf进行缓冲区溢出，继续往下看 可以发现获得flag的条件是循环50次，50次输入的v1值与随机数v2 都相等 根据前面发现的缓冲区溢出可以发现我们可以覆盖掉seed种子值 那么种子值可以被我们随意设置为一个任意值，我把它设置为0，有了种子值可以写一个c程序把50次产生的随机数都求出来 有了随机数便可以编写exp了 C程序： #include <stdio.h&...
攻防世界pwn-forgot
最新发布
08-10
- *1* [攻防世界pwn题：forgot](https://blog.csdn.net/m0_62396648/article/details/125134327)[target="_blank" data-report-click={"spm":"1018.2226.3001.9630","extra":{"utm_source":"vip_chatgpt_common_...
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值